Begin juni 2026 ontdekten cybersecurity-onderzoekers van Calif (met behulp van de AI-agent Codex) een nieuwe variant van de HTTP/2 Bomb-aanval, die zelfs met Ć©Ć©n clientapparaat werkt dat een internetverbinding van 100 Mbps heeft.
De aanval bestaat uit twee fasen:
Manipulatie van HPACK-compressie: In het HTTP/2-protocol worden headers gecomprimeerd met een HPACK-tabel. De aanvaller stuurt bijna een lege header, maar dwingt, met behulp van honderdduizenden instructies, server deze uit te pakken en voortdurend naar hetzelfde kleine element te verwijzen. Dit veroorzaakt een lawine van geheugengebruik. de server.
Blokkering van de flow control: Zodra het geheugen vol is, stelt de aanvaller de grootte van het flow-control-venster in op 0. Dit dwingt de server om het verzenden van een antwoord te pauzeren, terwijl het geheugen in gebruik blijft, en houdt de verbinding open met periodieke 1-byte aanvragen.
Slechts Ć©Ć©n client kan binnen 10ā20 seconden tot 32ā64 GB RAM-geheugen verbruiken. Het geheugenverbruik varieert tussen verschillende HTTP-servers van ongeveer 70 bytes per byte in de index voor nginx, IIS en Pingora, tot 4000 bytes in Apache httpd en 5700 in Envoy.
Bijna alle belangrijke HTTP/2-serverimplementaties zijn kwetsbaar in standaardconfiguraties:
NGINX, Apache HTTPD (mod_http2-module), Microsoft IIS, Envoy, Cloudflare, Pingora
De kwetsbaarheid is opgelost in nginx 1.29.8 (met behulp van de max_headers-directive van freenginx, die standaard het verwerken van meer dan 1000 headers toelaat), Envoy 1.35.11 en 1.36.7 (mutable_max_request_headers_kb en max_headers_count), en Apache mod_http2 2.0.41. Voor Microsoft IIS en Cloudflare Pingora zijn er op dit moment nog geen patches.
De HTTP-server Angie is niet kwetsbaar, omdat deze bescherming tegen dit soort aanvallen al implementeerde in versie 1.8.0, die in 2024 werd uitgebracht.
Bron: linux.org.ru
